Trojan.Siggen30.16267

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\azureconnect

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\xdwdusb.exe
<Имя диска съемного носителя>:\nwfieldnotes1966.docx.lnk
<Имя диска съемного носителя>:\sdszfo.docx.lnk
<Имя диска съемного носителя>:\issi2013_template_for_posters.docx.lnk
<Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx.lnk
<Имя диска съемного носителя>:\dotnetfx45_full_setup.exe.lnk
<Имя диска съемного носителя>:\calc.exe.lnk
<Имя диска съемного носителя>:\sdkfailsafeemulator.cer.lnk
<Имя диска съемного носителя>:\wrar520.exe.lnk
<Имя диска съемного носителя>:\utorrent.exe.lnk
<Имя диска съемного носителя>:\chromesetup.exe.lnk
<Имя диска съемного носителя>:\browse.htm.lnk
<Имя диска съемного носителя>:\alert.htm.lnk
<Имя диска съемного носителя>:\iisstart.htm.lnk
<Имя диска съемного носителя>:\64bit_notes.htm.lnk
<Имя диска съемного носителя>:\holycrosschurchinstructions.docx.lnk
<Имя диска съемного носителя>:\adhd_and_obesity.docx.lnk
<Имя диска съемного носителя>:\lisp_success.doc.lnk
<Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.lnk
<Имя диска съемного носителя>:\hanni_umami_chapter.doc.lnk
<Имя диска съемного носителя>:\join.avi.lnk
<Имя диска съемного носителя>:\tileimage.bmp.lnk
<Имя диска съемного носителя>:\dial.bmp.lnk
<Имя диска съемного носителя>:\dialmap.bmp.lnk
<Имя диска съемного носителя>:\dashborder_96.bmp.lnk
<Имя диска съемного носителя>:\dashborder_144.bmp.lnk
<Имя диска съемного носителя>:\trivial-merge.htm.lnk
<Имя диска съемного носителя>:\notepad.exe.lnk
<Имя диска съемного носителя>:\dashborder_120.bmp.lnk
<Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.lnk
<Имя диска съемного носителя>:\contosoroot_1.cer.lnk
<Имя диска съемного носителя>:\sdksampleprivdeveloper.cer.lnk
<Имя диска съемного носителя>:\cveuropeo.doc.lnk
<Имя диска съемного носителя>:\ovp25012015.doc.lnk
<Имя диска съемного носителя>:\applicantform_en.doc.lnk
<Имя диска съемного носителя>:\delete.avi.lnk
<Имя диска съемного носителя>:\contoso.cer.lnk
<Имя диска съемного носителя>:\alert.html.lnk

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'RegAsm.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Program Files\Microsoft\AzureConnect\AzureConnect.exe'
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'AzureConnect.exe'

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe

Изменения в файловой системе

Создает следующие файлы

%ProgramFiles(x86)%\.exe
%ALLUSERSPROFILE%\program files\microsoft\azureconnect\azureconnect.exe

Присваивает атрибут 'скрытый' для следующих файлов

<Имя диска съемного носителя>:\xdwdusb.exe

Другое

Создает и запускает на исполнение

'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Remove-ItemProperty -Path 'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' -Name '';New-ItemProperty -Path 'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' -Name '' -Value '"%ProgramF...

Запускает на исполнение

'%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
'%WINDIR%\syswow64\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "AzureConnect" /tr "%ALLUSERSPROFILE%\Program Files\Microsoft\AzureConnect\AzureConnect.exe" (со скрытым окном)
'<SYSTEM32>\taskeng.exe' {F2A67789-06DA-413E-9976-D4CA75AFF03D} S-1-5-21-3691498038-2086406363-2140527554-1000:kuoxrejmptv\user:Interactive:[1]
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'RegAsm.exe' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Program Files\Microsoft\AzureConnect\AzureConnect.exe' (со скрытым окном)
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'AzureConnect.exe' (со скрытым окном)